新闻资讯
研究人员发现 Amazon ECS 中的 ECScape 漏洞可导致跨任务凭证盗窃
网络安全研究人员展示了亚马逊弹性容器服务（ ECS ）中的“端到端权限提升链”，攻击者可以利用该链进行横向移动、访问敏感数据并控制云环境。Sweet Security 研究员 Naor Haziz 将这一攻击技术命名为 ECScape，他今天在拉斯维加斯举行的美国黑帽安全会议上公布了这一研究成果。Haziz 在与 The Hacker
Cursor AI 代码编辑器漏洞可通过恶意 MCP 文件交换在批准后实现 RCE
该漏洞的编号为 CVE-2025-54136（CVSS 评分：7.2）Check Point Research 将该漏洞命名为MCPoison，因为它利用了软件处理模型上下文协议 (MCP) 服务器配置修改方式中的一个怪癖。Cursor在上周发布的公告中表示： “Cursor AI 中存在一个漏洞，攻击者可以通过修改共享 GitHub 存储库中已受信任的 MCP 配
ClickFix 恶意软件活动利用 CAPTCHA 传播跨平台感染
根据 Guardio Labs 的最新发现，传播方法、叙述复杂性和逃避技术的结合使得被称为ClickFix的社会工程策略在过去一年中得以成功实施。安全研究员 Shaked Chen在与 The Hacker News 分享的一份报告中表示： “就像现实世界的病毒变种一样，这种新的‘ ClickFix ’病毒迅速超越并最终消灭了去年困扰网络的
越南黑客利用PXA窃取软件攻击全球4000个IP地址，窃取20万个密码
网络安全研究人员正在呼吁关注新一波传播基于 Python 的信息窃取程序 PXA Stealer 的活动。根据 Beazley Security 和 SentinelOne 发布并与 The Hacker News 分享的联合报告，该恶意活动被评估为越南语网络犯罪分子所为，他们通过基于订阅的地下生态系统将从窃取的数据货币化，该生态系统通过 Telegra
攻击者利用 Tycoon Kit 的虚假 OAuth 应用入侵 Microsoft 365 帐户
网络安全研究人员详细描述了一组新的活动，其中威胁行为者使用伪造的Microsoft OAuth 应用程序冒充企业，以便在帐户接管攻击中获取凭证。Proofpoint在周四的一份报告中表示： “假冒的 Microsoft 365 应用程序冒充了多家公司，包括 RingCentral、SharePoint、Adobe 和 Docusign。”该活动于 2025 年初
CL-STA-0969 在为期 10 个月的间谍活动中在电信网络中安装隐蔽恶意软件
东南亚的电信组织已成为国家支持的威胁行为者CL-STA-0969的目标，以便对受感染网络进行远程控制。Palo Alto Networks 第 42 部队表示，他们在该地区观察到多起事件，其中包括 2024 年 2 月至 11 月期间针对关键电信基础设施的一起事件。这些攻击的特点是使用多种工具实现远程访问，以及部署可以从移动
Cursor AI 代码编辑器修复漏洞，允许攻击者通过提示注入运行命令
网络安全研究人员披露了流行的人工智能 (AI) 代码编辑器 Cursor 中一个现已修补的高严重性安全漏洞，该漏洞可能导致远程代码执行。该漏洞的编号为CVE-2025-54135 （CVSS 评分：8.6），已在 2025 年 7 月 29 日发布的1.3 版本中得到解决。该漏洞由 Aim Labs 命名为 CurXecute，该实验室此前曾披露过Echo
Secret Blizzard 利用恶意软件对莫斯科大使馆发动 ISP 级 AitM 攻击
据观察，名为“秘密暴雪”的俄罗斯民族国家威胁行为者正在策划一场新的网络间谍活动，该活动针对位于莫斯科的外国大使馆，通过对互联网服务提供商 (ISP) 级别的中间人 ( AitM ) 攻击，并提供名为 ApolloShadow 的定制恶意软件。微软威胁情报团队在与 The Hacker News 分享的一份报告中表示：“ApolloSh
黑客利用 Facebook 广告通过虚假加密货币交易应用程序传播 JSCEAL 恶意软件
网络安全研究人员正在呼吁关注一项正在进行的活动，该活动分发虚假的加密货币交易应用程序，以部署名为 JSCEAL 的编译型 V8 JavaScript (JSC) 恶意软件，该恶意软件可以从凭证和钱包中捕获数据。据 Check Point 称，该活动利用 Facebook 上发布的数千条恶意广告，试图将毫无戒心的受害者重定向到伪造网
Wiz 发现 AI 驱动的 Vibe 编码平台 Base44 中存在关键访问绕过漏洞
网络安全研究人员披露了流行的氛围编码平台 Base44 中一个现已修补的严重安全漏洞，该漏洞可能允许未经授权访问其用户构建的私人应用程序。云安全公司 Wiz在与 The Hacker News 分享的一份报告中表示：“我们发现的漏洞非常容易利用——只需向未记录的注册和电子邮件验证端点提供非秘密的 app_id 值，
